Présentation de VPC Service Controls

Cet article présente VPC Service Controls, et décrit ses avantages et ses fonctionnalités.

Qui doit utiliser VPC Service Controls ?

Votre organisation peut détenir des droits de propriété intellectuelle sous la forme de données hautement sensibles, ou votre organisation peut gérer des données sensibles soumises à des réglementations supplémentaires sur la protection des données, telles que la norme PCI DSS. La perte ou la divulgation involontaire de données sensibles peut avoir des conséquences négatives importantes sur votre activité.

Si vous effectuez une migration d'une infrastructure sur site vers le cloud, l'un de vos objectifs peut être de répliquer votre architecture de sécurité basée sur le réseau sur site lorsque vous transférez vos données vers Google Cloud. Pour protéger vos données hautement sensibles, vous pouvez vous assurer que vos ressources ne sont accessibles qu'à partir de réseaux de confiance. Certaines organisations peuvent autoriser l'accès public aux ressources tant que la requête provient d'un réseau de confiance, qui peut être identifié à partir de l'adresse IP de la requête.

Pour limiter les risques d'exfiltration des données, votre entreprise peut également souhaiter garantir un échange de données sécurisé au-delà des limites organisationnelles à l'aide de contrôles ultraprécis. En tant qu'administrateur, vous pouvez vérifier les points suivants:

  • Les clients disposant d'un accès privilégié n'ont pas non plus accès aux ressources des partenaires.
  • Les clients ayant accès aux données sensibles ne peuvent que lire les ensembles de données publics, mais pas y écrire.

Comment VPC Service Controls réduit les risques d'exfiltration de données

VPC Service Controls protège contre les actions accidentelles ou ciblées de la part d'entités externes ou d'entités internes, ce qui permet de réduire les risques d'exfiltration de données injustifiés à partir des services Google Cloud tels que Cloud Storage et BigQuery. VPC Service Controls vous permet de créer des périmètres qui protègent les ressources et les données des services que vous spécifiez explicitement.

VPC Service Controls sécurise vos services Google Cloud en définissant les contrôles suivants:

  • Les clients d'un périmètre qui disposent d'un accès privé à certaines ressources ne peuvent pas accéder à des ressources non autorisées (potentiellement publiques) situées en dehors du périmètre.

  • Les données ne peuvent pas être copiées vers des ressources non autorisées en dehors du périmètre à l'aide d'opérations de service telles que gsutil cp ou bq mk.

  • L'échange de données entre les clients et les ressources séparés par des périmètres est sécurisé à l'aide de règles d'entrée et de sortie.

  • L'accès contextuel aux ressources est basé sur les attributs du client, tels que le type d'identité (compte de service ou utilisateur), l'identité, les données d'appareil et l'origine du réseau (adresse IP ou réseau VPC). Voici des exemples d'accès contextuel :

    • Les clients situés en dehors du périmètre qui se trouvent sur Google Cloud ou sur site se trouvent au sein de ressources VPC autorisées et utilisent l'accès privé à Google pour accéder aux ressources situées dans un périmètre.

    • L'accès Internet aux ressources d'un périmètre est restreint à l'aide d'une plage d'adresses IPv4 et IPv6.

    Pour en savoir plus, consultez la section Accès contextuel à l'aide de règles d'entrée.

VPC Service Controls offre un niveau de sécurité supplémentaire pour les services Google Cloud, indépendamment de la gestion de l'authentification et des accès (IAM). Tandis que les stratégies IAM permettent un contrôle d'accès précis basé sur l'identité, VPC Service Controls offre une sécurité périmétrique basée sur le contexte plus étendue, et permet par exemple de contrôler la sortie des données au-delà du périmètre. Nous vous recommandons d'utiliser VPC Service Controls conjointement à IAM pour bénéficier d'une défense en profondeur.

VPC Service Controls vous permet de surveiller les modèles d'accès aux ressources sur l'ensemble de vos périmètres de service à l'aide de Cloud Audit Logs. Pour en savoir plus, consultez la page Journaux d'audit VPC Service Controls.

Avantages en matière de sécurité offerts par VPC Service Controls

VPC Service Controls permet de limiter les risques de sécurité suivants sans sacrifier les avantages en termes de performances de l'accès privé direct aux ressources Google Cloud :

  • Accès depuis des réseaux non autorisés à l'aide d'identifiants volés: en n'autorisant l'accès privé qu'à partir de réseaux VPC autorisés, VPC Service Controls protège contre le risque d'exfiltration de données présenté par les clients utilisant des identifiants OAuth ou de compte de service volés.

  • L'exfiltration de données due à des menaces internes ou à un code compromis : VPC Service Controls complète les contrôles effectués sur la sortie des réseaux en empêchant les clients de ces réseaux d'accéder aux ressources des services gérés par Google en dehors du périmètre.

    VPC Service Controls empêche également la lecture de données ou leur copie sur une ressource en dehors du périmètre. VPC Service Controls empêche les opérations de service, telles que la copie sur un bucket Cloud Storage public à l'aide de la commande gsutil cp ou sur une table BigQuery externe permanente à l'aide de la commande bq mk.

    Google Cloud fournit également une adresse IP virtuelle restreinte intégrée à VPC Service Controls. L'adresse IP virtuelle restreinte permet également d'envoyer des requêtes aux services compatibles avec VPC Service Controls sans exposer ces requêtes à Internet.

  • L'exposition publique de données privées en raison d'une mauvaise configuration des stratégies IAM : VPC Service Controls offre un niveau de sécurité supplémentaire en empêchant l'accès à partir de réseaux non autorisés, même si les données sont exposées par des stratégies IAM mal configurées.

  • Surveillance de l'accès aux services: utilisez VPC Service Controls en mode de simulation pour surveiller les requêtes adressées aux services protégés sans empêcher l'accès et pour comprendre les requêtes de trafic adressées à vos projets. Vous pouvez également créer des périmètres honeypot pour identifier les tentatives inattendues ou malveillantes de vérification des services accessibles.

Vous pouvez utiliser une règle d'accès de l'organisation et configurer VPC Service Controls pour l'ensemble de votre organisation Google Cloud, ou utiliser des règles applicables et configurer VPC Service Controls pour un dossier ou un projet au sein de l'organisation. Vous conservez la flexibilité nécessaire pour traiter, transformer et copier les données au sein du périmètre.

Par défaut, les configurations de VPC Service Controls sont gérées au niveau de l'organisation, mais des règles d'accès appliquées aux dossiers ou aux projets peuvent être utilisées pour déléguer l'administration des périmètres de service en aval de la hiérarchie des ressources.

VPC Service Controls et métadonnées

VPC Service Controls n'est pas conçu pour appliquer des contrôles complets sur le déplacement des métadonnées.

Dans ce contexte, les données sont définies comme du contenu stocké dans une ressource Google Cloud. Par exemple, le contenu d'un objet Cloud Storage. Les métadonnées sont définies comme les attributs de la ressource ou de son parent. Il peut par exemple s'agir de noms de buckets Cloud Storage.

L'objectif principal de VPC Service Controls est de contrôler le déplacement des données, plutôt que celui des métadonnées, au-delà d'un périmètre de service via des services compatibles. Bien que VPC Service Controls gère également l'accès aux métadonnées, il existe certains scénarios dans lesquels il est possible de copier et d'accéder aux métadonnées sans aucune vérification des règles VPC Service Controls.

Nous vous recommandons de vous fier à IAM, y compris à l'utilisation de rôles personnalisés, pour garantir un contrôle approprié sur l'accès aux métadonnées.

Fonctionnalités

VPC Service Controls vous permet de définir des règles de sécurité qui empêchent l'accès aux services gérés par Google en dehors d'un périmètre de confiance, bloquent l'accès aux données depuis des emplacements non approuvés et limitent les risques d'exfiltration des données.

Vous pouvez utiliser VPC Service Controls pour les cas d'utilisation suivants :

Isoler des ressources Google Cloud dans des périmètres de service

Un périmètre de service crée une limite de sécurité autour des ressources Google Cloud. Un périmètre de service permet une communication libre au sein de celui-ci, mais bloque par défaut la communication avec les services Google Cloud au-delà du périmètre.

Le périmètre fonctionne spécifiquement avec les services gérés Google Cloud. Le périmètre ne bloque pas l'accès aux API ou services tiers sur Internet.

Vous pouvez configurer un périmètre pour contrôler les types de communications suivants:

  • D'Internet public aux ressources client dans les services gérés
  • Depuis des machines virtuelles (VM) vers un service Google Cloud (API)
  • Entre des services Google Cloud

Avec VPC Service Controls, vous n'avez pas besoin d'un réseau cloud privé virtuel (VPC). Pour utiliser VPC Service Controls sans disposer de ressources sur un réseau VPC, vous pouvez autoriser le trafic provenant de plages d'adresses IP externes ou de certains comptes principaux IAM. Pour en savoir plus, consultez la page Créer et gérer des niveaux d'accès.

Voici quelques exemples de création d'une limite de sécurité par VPC Service Controls :

  • Une VM d'un réseau VPC faisant partie d'un périmètre de service peut lire ou écrire dans un bucket Cloud Storage situé dans le même périmètre. Cependant, VPC Service Controls n'autorise pas les VM situées dans les réseaux VPC qui sont en dehors du périmètre à accéder aux buckets Cloud Storage qui sont dans le périmètre. Vous devez spécifier une règle d'entrée pour autoriser les VM de réseaux VPC qui se trouvent en dehors du périmètre à accéder aux buckets Cloud Storage situés à l'intérieur de celui-ci.

  • Un projet hôte qui contient plusieurs réseaux VPC possède une règle de périmètre différente pour chaque réseau VPC du projet hôte.

  • Une opération de copie entre deux buckets Cloud Storage aboutit si les deux buckets se trouvent au sein du même périmètre de service, mais échoue si l'un des deux se situe en dehors du périmètre.

  • VPC Service Controls ne permet pas aux VM d'un réseau VPC situé dans un périmètre de service d'accéder aux buckets Cloud Storage situés en dehors de ce périmètre.

Le schéma suivant illustre un périmètre de service permettant la communication entre un projet VPC et un bucket Cloud Storage à l'intérieur du périmètre, mais bloque toutes les communications au-delà de celui-ci :

Étendre des périmètres vers un VPN autorisé ou Cloud Interconnect

Les extensions sur site de l'accès privé à Google permettent de configurer la communication privée avec les ressources Google Cloud à partir de réseaux VPC qui couvrent des environnements hybrides. Pour accéder de manière privée aux ressources Google Cloud situées dans un périmètre, le réseau VPC qui contient la zone de destination de l'environnement sur site doit faire partie du périmètre des ressources du réseau sur site.

Les VM dotées d'adresses IP privées appartenant à un réseau VPC sécurisé par un périmètre de service ne peuvent pas accéder aux ressources gérées situées en dehors de ce périmètre. Si nécessaire, vous pouvez continuer à activer l'accès inspecté et audité à toutes les API Google (par exemple, Gmail) sur Internet.

Le schéma suivant illustre un périmètre de service qui s'étend aux environnements hybrides avec l'accès privé à Google :

Contrôler l'accès aux ressources Google Cloud depuis Internet

Par défaut, l'accès depuis Internet aux ressources gérées d'un périmètre de service est refusé. Si vous le souhaitez, vous pouvez activer l'accès en fonction du contexte de la requête. Pour ce faire, vous pouvez créer des règles d'entrée ou des niveaux d'accès pour autoriser l'accès en fonction de divers attributs, tels que l'adresse IP source, l'identité ou le projet Google Cloud source. Si les requêtes effectuées depuis Internet ne répondent pas aux critères définis dans la règle d'entrée ou le niveau d'accès, les requêtes sont refusées.

Pour que la console Google Cloud puisse accéder aux ressources d'un périmètre, vous devez configurer un niveau d'accès permettant l'accès à une ou plusieurs plages IPv4 et IPv6, ou à des comptes utilisateur spécifiques.

Le schéma suivant présente un périmètre de service autorisant l'accès depuis Internet aux ressources protégées en fonction des niveaux d'accès configurés, tels que l'adresse IP ou les règles relatives aux appareils :

Autres contrôles pour limiter les risques d'exfiltration des données

  • Partage restreint de domaine: vous pouvez envisager de configurer une règle d'administration pour limiter le partage de ressources aux identités appartenant à une ressource d'organisation spécifique. Pour en savoir plus, consultez la section Restreindre les identités par domaine.

  • Accès uniforme au niveau du bucket: pour contrôler de manière uniforme l'accès à vos buckets Cloud Storage, envisagez de configurer des autorisations IAM au niveau du bucket. L'utilisation de l'accès uniforme au niveau du bucket vous permet d'utiliser d'autres fonctionnalités de sécurité Google Cloud, telles que le partage restreint de domaine, la fédération des identités des employés et les conditions IAM.

  • Authentification multifacteur: nous vous recommandons d'utiliser l'authentification multifacteur pour accéder à vos ressources Google Cloud.

  • Automatisation à l'aide d'outils Infrastructure as Code: nous vous recommandons de déployer les buckets Cloud Storage à l'aide d'un outil d'automatisation pour contrôler l'accès à ces buckets. Faire passer l'Infrastructure as Code à des examens manuels ou automatisés avant le déploiement.

  • Analyses post-déploiement: vous pouvez envisager d'utiliser les outils d'analyse post-déploiement suivants pour rechercher les buckets Cloud Storage ouverts:

    • Security Command Center
    • Cloud Asset Inventory, pour rechercher l'historique des métadonnées des éléments et analyser la stratégie IAM pour déterminer qui a accès à quoi.
    • Des outils tiers tels que Palo Alto PrismaCloud

  • Anonymisation des données sensibles: vous pouvez envisager d'utiliser la protection des données sensibles pour détecter, classer et anonymiser les données sensibles à l'intérieur et à l'extérieur de Google Cloud. L'anonymisation des données sensibles peut être effectuée par masquage, tokenisation ou chiffrement.

Services incompatibles

Pour en savoir plus sur les produits et services compatibles avec VPC Service Controls, consultez la page Produits compatibles et limites.

Toute tentative de restriction d'un service non compatible à l'aide de l'outil de ligne de commande gcloud ou de l'API Access Context Manager entraînera une erreur.

L'accès entre projets aux données de services non compatibles est bloqué par VPC Service Controls. De plus, il est possible d'utiliser une adresse IP virtuelle restreinte pour empêcher les charges de travail d'appeler des services incompatibles.

Limitations connues

Lorsque vous utilisez VPC Service Controls, il existe des limites connues avec certains services, produits et interfaces Google Cloud. Par exemple, VPC Service Controls n'est pas compatible avec tous les services Google Cloud. Par conséquent, n'activez pas les services Google Cloud non compatibles dans le périmètre. Pour en savoir plus, consultez la liste des produits compatibles avec VPC Service Controls. Si vous devez utiliser un service non compatible avec VPC Service Controls, activez-le dans un projet situé en dehors du périmètre.

Nous vous recommandons de consulter les limites connues avant d'inclure des services Google Cloud dans le périmètre. Pour en savoir plus, consultez les limites applicables au service VPC Service Controls.

Glossaire

Cet article traite de plusieurs nouveaux concepts introduits par VPC Service Controls :

VPC Service Controls
Technologie vous permettant de définir un périmètre de service autour des ressources des services gérés par Google afin de contrôler les communications avec et entre ces services.
périmètre de service
Périmètre de service autour des ressources gérées par Google. Permet une communication libre au sein du périmètre, mais bloque par défaut toutes les communications au-delà de celui-ci.
règle d'entrée
Règle qui permet à un client API situé en dehors du périmètre d'accéder aux ressources situées dans celui-ci. Pour en savoir plus, consultez la section Règles d'entrée et de sortie.
règle de sortie
Règle permettant à un client API ou à une ressource situé dans le périmètre d'accéder à des ressources Google Cloud en dehors de ce périmètre. Le périmètre ne bloque pas l'accès aux API ou services tiers sur Internet.
liaison de périmètre de service

Une liaison de périmètre permet à des projets situés dans différents périmètres de service de communiquer. Comme les liaisons de périmètre sont bidirectionnelles, les projets de chaque périmètre de service bénéficient d'un accès identique, tel que défini dans le champ d'application de la liaison.

Access Context Manager

Service de classification de requêtes sensible au contexte pouvant mapper une requête à un niveau d'accès en fonction d'attributs spécifiques du client, tels que l'adresse IP source. Pour en savoir plus, consultez la page Présentation d'Access Context Manager.

niveau d'accès

Classification de requêtes sur Internet basée sur plusieurs attributs, tels que la plage d'adresses IP source, l'appareil client, la géolocalisation, etc. Comme pour une règle d'entrée, vous pouvez utiliser un niveau d'accès pour configurer un périmètre de service afin d'accorder l'accès depuis Internet en fonction du niveau d'accès associé à une requête. Vous pouvez créer un niveau d'accès à l'aide d'Access Context Manager.

règle d'accès

Objet de ressource Google Cloud qui définit les périmètres de service. Vous pouvez créer des règles d'accès qui s'appliquent à des dossiers ou des projets spécifiques en plus d'une règle d'accès applicable à l'ensemble de l'organisation. Une organisation ne peut avoir qu'une seule règle d'accès au niveau de l'organisation.

règle délimitée

Une règle de champ d'application est une règle d'accès qui est limitée à des dossiers ou projets spécifiques, parallèlement à une règle d'accès qui s'applique à l'ensemble de l'organisation. Pour en savoir plus, consultez la section Présentation des règles applicables.

Adresse IP virtuelle restreinte

L'adresse IP virtuelle restreinte fournit une route de réseau privée aux produits et aux API compatibles avec VPC Service Controls afin de rendre les données et les ressources utilisées par ces produits inaccessibles depuis Internet. restricted.googleapis.com renvoie 199.36.153.4/30. Cette plage d'adresses IP n'est pas exposée sur Internet.

Étapes suivantes